Selon Gartner, SOAR regroupe « des technologies qui permettent aux organisations de collecter les données surveillées par l’équipe chargée des opérations de sécurité… Les outils SOAR permettent à une organisation de définir des procédures d’analyse et de réponse aux incidents sous la forme de workflows numériques. »*
Mais qu’est-ce que SOAR exactement ? S’agit-il d’un ensemble de technologies omniscientes qui fonctionnent de concert pour atténuer les menaces et effectuer des analyses, une sorte de technologie Skynet digne de Terminator dans le monde réel, qui empêcherait les cyberattaques ? Existe-t-il un type particulier de « logiciel SOAR » ? Ou s’agit-il d’un cadre fournissant une approche recommandée en matière de cybersécurité ?
SOAR : un cadre pour une sécurité robuste
Il s’agit de bien plus qu’un simple outil ou ensemble d’outils. SOAR est un modèle permettant d’élaborer un plan de sécurité robuste. Certes, il invite les organismes à automatiser le traitement des données de sécurité et des analyses provenant d’une solution technologique (par exemple, un outil de renseignement sur les menaces, tel qu’un système de gestion des informations et des événements de sécurité ou un gestionnaire de journaux de sécurité). Mais SOAR comporte un autre volet — l’orchestration de la sécurité — qui favorise l’intervention humaine.
Imaginez ce qui se passe lorsqu’une solution de gestion des informations et des événements de sécurité, ou un outil similaire, détecte un incident potentiel. Un processus complet de gestion des tâches est alors créé, depuis l’outil jusqu’à l’administrateur de la sécurité.
Dans le cadre de ce processus, l’incident est évalué en fonction des politiques de sécurité que l’organisation a (espérons-le) déjà mises en place. Les éléments à prendre en compte peuvent inclure :
- Quel est le niveau de menace attribué à l’application qui a été compromise ?
- En fonction de ce niveau de menace, quelles actions automatisées doivent être mises en œuvre pour limiter les dommages potentiels ?
- Quelles mesures supplémentaires doivent être prises pour remédier au problème ?
Les administrateurs de la sécurité peuvent ensuite exploiter les renseignements sur les menaces issus des données d’analyse forensique afin d’enquêter immédiatement sur le problème et d’y remédier, puis adapter les politiques de sécurité en conséquence pour renforcer les défenses de l’agence contre de futures attaques.
C’est là qu’intervient le facteur humain du SOAR. Malgré l’importance accordée à l’automatisation, les personnes constituent un élément essentiel du cadre SOAR, car elles représentent la dernière ligne de défense et sont responsables du renforcement de la sécurité. Associer leur expertise aux solutions de sécurité adéquates peut aider les organisations à garder une longueur d’avance sur les acteurs malveillants.
Les applications adaptatives sont essentielles au modèle SOAR
SOAR vise à mettre en place un programme de sécurité hautement adaptatif qui s’appuie sur les données pour améliorer en permanence la manière dont une organisation répond aux menaces. Il encourage l’utilisation du renseignement pour identifier précisément les menaces actuelles, réagir aux incidents, en tirer des enseignements, puis s’adapter et s’améliorer au fil du temps.
Chez F5, nous nous attachons à aider les organisations à créer des applications adaptatives capables d’ajuster automatiquement leur niveau de sécurité. Ces applications recueillent et analysent les informations provenant de différents points de contact tout au long du chemin des données applicatives — le parcours suivi par le trafic applicatif entre l’application et l’utilisateur final — par exemple lorsqu’un utilisateur accède pour la première fois à l’application (ce qui nécessite une authentification auprès de celle-ci), lorsque des données sont transmises sur Internet (ce qui déclenche l’utilisation d’un pare-feu d’applications web), entre autres.
Chacun de ces points de contact génère ses propres données de télémétrie et d’analyse. Ces données permettent de déterminer si l’application fonctionne comme prévu ou si une anomalie susceptible d’indiquer une compromission est présente.
Dans ce dernier cas, l’application peut s’adapter automatiquement afin d’atténuer la menace potentielle, répondant ainsi à l’exigence de réponse automatisée du SOAR. Imaginons qu’une hausse soudaine du trafic suspect soit détectée à un endroit donné du cheminement des données de l’application. Une solution de gestion des bots peut détecter automatiquement les activités frauduleuses en fonction du type de trafic — humain ou généré par des bots, par exemple — qui sollicite l’application. Celle-ci peut alors bloquer automatiquement le trafic suspect conformément à des politiques de sécurité prédéfinies.
La puissance de l’humain et de la machine
Le cadre SOAR constitue un excellent modèle pour mettre en place un système automatisé, réactif et agile qui s’appuie sur plusieurs technologies et sur l’expertise humaine afin d’appliquer et d’améliorer en permanence les politiques de sécurité. Il offre une protection hautement dissuasive contre les menaces actuelles et futures.
____
*Glossaire Gartner, SOAR, https://www.gartner.com/en/information-technology/glossary/security-orchestration-automation-response-soar
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.